Анализ файлов дампа с синим экраном с помощью WinDbg

Обзор

Ошибка «синий экран» (также называемая «синим экраном смерти» или BSOD) возникает, когда Windows сталкивается с критической проблемой и выключается для защиты компьютера. В этом случае Windows создает небольшой файл, называемый минидампом , в котором записываются события, произошедшие в момент сбоя.

В этой статье рассказывается о том, как использовать отладчик Windows (WinDbg), бесплатное средство от Microsoft, для открытия и чтения этих файлов минидампа. Что еще более важно, это поможет вам понять, что означают результаты и какие шаги предпринять, чтобы решить проблему.

Что вы узнаете:

• Как настроить компьютер для сохранения файлов minidump.
• Как установить и использовать WinDbg для анализа файла аварийного дампа.
• Как ознакомиться с результатами анализа и выявить причину.
• Как использовать эти результаты для поиска и устранения ошибки «синий экран».
• Как использовать средство проверки драйверов для поиска проблемных драйверов.

Что такое файл минидампа?

При появлении ошибки «синий экран» Windows сохраняет небольшой файл дампа памяти (также называемый минидампом) с расширением .dmp. Этот файл содержит моментальный снимок состояния компьютера на момент сбоя. Несмотря на небольшой размер (обычно 256 КБ), минидамп содержит ценную информацию, в том числе:

• Код остановки — конкретный код ошибки, определяющий тип сбоя (например, DRIVER_IRQL_NOT_LESS_OR_EQUAL).
• Параметры — дополнительные значения, связанные с кодом остановки.
• Загруженные драйверы — список всех драйверов, которые были запущены в момент сбоя.
• Сбойный модуль — конкретный файл (драйвер, системный файл или приложение), который вызвал сбой или способствовал его возникновению.
• Стек вызовов режима ядра — техническая запись, показывающая последовательность событий, приведших к сбою.
• Контекст процессора и потока — сведения о процессоре и процессе, которые были активны в данный момент.

Эта информация помогает сузить круг возможных причин: драйвером, системным файлом Windows, аппаратным сбоем или программным конфликтом.

Что вызывает ошибки «синий экран»?

Ошибки «синий экран» могут быть вызваны множеством причин. К наиболее распространенным относятся:

Перед началом работы: убедитесь, что файлы minidump сохраняются

Перед анализом аварийного дампа необходимо настроить компьютер на создание и сохранение файлов минидампа. Чтобы проверить эту настройку, выполните следующие действия.

1. Выберите Пуск, введите SystemPropertiesAdvanced и нажмите клавишу Enter.
2. В окне «Свойства системы » в разделе «Загрузка и восстановление » выберите «Настройки».
3. Убедитесь, что в разделе Информация об отладке записи выбран параметр Малый дамп памяти (256 Кбайт) или Автоматический дамп памяти .
4. Убедитесь, что для каталога Small dump установлено значение %SystemRoot%\Minidump.
5. Нажмите OK, а затем еще раз нажмите OK , чтобы закрыть окно «Свойства системы».

Шаг 1: Установите WinDbg

WinDbg (Windows Debugger) — это бесплатный инструмент от Microsoft, который позволяет открывать и анализировать файлы минидампа. Чтобы скачать и установить его, выполните следующие действия.

1. Выберите Пуск и откройте Microsoft Store.
2. В строке поиска введите WinDbg и нажмите клавишу Enter.
3. Выберите WinDbg (прежнее название — WinDbg Preview) в результатах поиска, затем нажмите Получить или Установить.
4. Дождитесь выполнения установки.

Шаг 2: Настройка пути к символу

Символы — это файлы, которые помогают WinDbg преобразовывать необработанные данные о сбоях в читаемую информацию, такую как имена функций и драйверов. Без символов результаты анализа могут быть неполными или трудно интерпретируемыми. Выполните следующие шаги, чтобы настроить путь к символу:

1. Нажмите кнопку Пуск, введите WinDbg, а затем выберите WinDbg, чтобы открыть приложение.
2. Выберите Файл, а затем выберите Настройки.
3. Выберите Параметры отладки.
4. В поле Путь к символу по умолчанию введите следующий путь точно так, как показано: srv*C:\Symbols*https://msdl.microsoft.com/download/symbols
5. Выберите OK.

Что означает этот путь?

• srv* указывает WinDbg загрузить символы с сервера.
• C:\Symbols - это локальная папка на вашем компьютере, в которой скачанные символы сохраняются (кэшируются) для более быстрого использования в будущем. WinDbg создает эту папку автоматически.
• URL-адрес указывает на общедоступный сервер символов Microsoft.

Шаг 3: Откройте и проанализируйте файл дампа

Установив WinDbg и настроив путь к символу, выполните следующие действия для анализа файла минидампа:

1. В WinDbg выберите Файл, а затем выберите Открыть файл дампа.
2. Перейдите в папку, в которой сохранены файлы minidump. Местоположения по умолчанию:
   1. Аварийные дампы Windows: C:\Windows\Minidump\
   2. Аварийные дампы приложений: C:\Users\YourUsername\AppData\Local\CrashDumps\
3. Выберите .dmp файл, который требуется проанализировать, а затем нажмите Открыть.

Совет: Если у вас несколько файлов дампа, сначала выберите самый последний. Имя файла обычно содержит дату сбоя (например, 010125-12345-01.dmp).

4. Подождите, пока WinDbg загрузит файл дампа. В окне командной строки будет отображаться прокрутка текста.
5. В окне командной строки в нижней части введите следующую команду и нажмите клавишу Enter: !analyze -v
6. Дождитесь завершения анализа. Это может занять несколько минут, пока WinDbg загружает необходимые символы и обрабатывает данные.

Шаг 4: Прочитайте и изучите результаты анализа

После завершения команды !analyze -v WinDbg отображает подробный отчет. Вот наиболее важные поля, на которые следует обратить внимание, и их значение:

Ключевые поля в аналитическом отчете

Как интерпретировать результаты

• Если MODULE_NAME или IMAGE_NAME показывает файл .sys — скорее всего, сбой был вызван драйвером. Имя файла помогает определить, какой аппаратный или программный компонент задействован.
• Если модуль ntoskrnl.exe — это ядро Windows. Это не обязательно означает, что проблема в самой Windows. Это часто указывает на то, что другой драйвер повредил память и ядро обнаружило проблему. Дополнительные подсказки можно найти в полном стеке вызовов.
• Если модуль win32kfull.sys или win32kbase.sys — это системные файлы, связанные с графикой Windows. Проблема может быть связана с драйвером дисплея или графическим приложением.

Распространенные имена файлов драйверов и связанные с ними компоненты

Совет: Если вы не уверены в принадлежности файла драйвера, выполните поиск по имени файла в Интернете для получения дополнительной информации.

Шаг 5: Устранение ошибки «синий экран»

После определения неисправного драйвера или модуля с помощью анализа файла дампа выполните следующие действия для устранения проблемы.

Если сбой был вызван драйвером (.sys файл)

1. Обновите драйвер. Перейдите на страницу Драйверы и загружаемые материалы Dell и скачайте последнюю версию драйвера для вашей модели компьютера Dell. Если драйвер предназначен для компонента стороннего производителя (например, принтера, веб-камеры и т. д.), посетите веб-сайт производителя, чтобы найти последнюю версию.
2. Откат драйвера. Если проблема возникла после недавнего обновления драйвера:
   1. Выберите Пуск, введите Диспетчер устройств, затем нажмите клавишу Enter.
   2. Разверните категорию устройства (например, Видеоадаптеры).
   3. Щелкните устройство правой кнопкой мыши и выберите Свойства.
   4. Перейдите на вкладку Драйвер , а затем выберите Откатить драйвер (если доступно).
3. Переустановка драйвера — удалите драйвер из Диспетчера устройств, перезагрузите компьютер и установите новую копию.

Если сбой указывает на ntoskrnl.exe или системный файл Windows

1. Запустите средство проверки системных файлов (SFC).
   1. Нажмите Пуск, введите CMD.
   2. Нажмите правой кнопкой мыши на командную строку и выберите пункт Запуск от имени администратора.
   3. Введите следующую команду и нажмите клавишу Enter: sfc /scannow
   4. Дождитесь завершения сканирования и следуйте появляющимся инструкциям.
2. Запустите инструмент DISM (если SFC обнаружит проблемы, которые не сможет исправить):
   1. В командной строке того же администратора введите следующую команду и нажмите клавишу ВВОД: DISM /Online /Cleanup-Image /RestoreHealth
   2. Дождитесь завершения процесса, а затем запустите sfc /scannow Снова.
3. Проверьте наличие обновлений Windows.
   1. Выберите Пуск > Настройки > Центр обновления Windows.
   2. Выберите Проверить наличие обновлений и установите все доступные обновления.

Если вы подозреваете, что возникла проблема с оборудованием

Ошибки «синий экран» также могут быть вызваны аппаратными проблемами, такими как сбой памяти (ОЗУ), перегрев процессора или неисправность жесткого диска. Попробуйте выполнить следующие действия.

1. Запустите встроенную диагностику Dell — перезагрузите компьютер и нажмите клавишу F12 во время появления логотипа Dell. Выберите в меню пункт Диагностика и выполните полную проверку оборудования.
2. Выполните диагностику памяти Windows:
   1. Выберите Пуск, введите Windows Memory Diagnostic, затем нажмите клавишу Enter.
   2. Выберите Перезагрузить сейчас и проверьте наличие проблем.
   3. Компьютер перезагрузится и проверит оперативную память. Результаты появляются после перезапуска Windows.
3. Проверка температуры — перегрев может привести к ошибкам «синий экран». Убедитесь, что вентиляционные отверстия и вентиляторы чистые и не заблокированы. Для проверки температуры используйте встроенную функцию управления температурными режимами Dell или инструмент стороннего производителя.
4. Проверьте состояние диска.
   1. Откройте командную строку администратора.
   2. Введите следующую команду и нажмите клавишу Enter: chkdsk C: /f /r
   3. При появлении запроса введите Y , чтобы запланировать сканирование для следующей перезагрузки, затем перезагрузите компьютер.

Если сбой был вызван разгоном

Если вы разогнали ЦП, графический процессор или ОЗУ, сбросьте все настройки оверклокинга до значений по умолчанию в BIOS/UEFI. Разгон может привести к нестабильной работе, которая приведет к ошибкам синего экрана.

Распространенные коды остановки с синим экраном и их значения

Вот некоторые из наиболее часто встречающихся кодов остановки, а также их типичные причины и рекомендуемые действия:

Полный список кодов остановки см. в Справочнике по коду проверки ошибок Microsoft (на английском языке).

Необязательно: использование средства проверки драйверов для поиска проблемных драйверов

Если анализ минидампа не позволяет четко определить проблемный драйвер или ошибки синего экрана продолжают возникать, можно использовать средство проверки драйверов. Это встроенное средство Windows отслеживает драйверы в режиме реального времени и запускает синий экран с подробными сведениями при обнаружении неправильной работы драйвера.

Важно: Средство проверки драйверов может намеренно вызвать дополнительные ошибки синего экрана. Это сделано специально, это заставляет водителей находить проблемы. Используйте его только во время активного поиска и устранения неисправностей, и всегда отключайте его, когда закончите.

Включение средства проверки драйверов

1. Нажмите Пуск, введите CMD.
2. Нажмите правой кнопкой мыши на командную строку и выберите пункт Запуск от имени администратора.
3. Введите следующую команду и нажмите клавишу Enter: verifier
4. В диспетчере проверки драйверов выберите Создать стандартные параметры, а затем нажмите Далее.
5. Выберите Автоматически выбирать неподписанные драйверы или Выбрать имена драйверов из списка, а затем нажмите Далее.

Совет: Если вы подозреваете, что это определенный драйвер, выберите Выбрать имена драйверов из списка и выберите только этот драйвер. Проверка меньшего количества драйверов делает процесс более эффективным и снижает вероятность несвязанных сбоев.

6. Нажмите Готово и перезагрузите компьютер.
7. Используйте компьютер в обычном режиме. При обнаружении неисправного драйвера Windows создает синий экран с подробным файлом дампа. Проанализируйте этот новый файл дампа с помощью WinDbg (см. шаги 3 и 4 выше).

Как отключить средство проверки драйверов

После завершения поиска и устранения неисправностей всегда отключайте средство проверки драйверов.

1. Откройте командную строку администратора.
2. Введите следующую команду и нажмите клавишу Enter: verifier /reset
3. Перезапустите компьютер.

Что делать, если средство проверки драйверов вызывает зацикливание загрузки

Если после включения средства проверки драйверов компьютер продолжает перезагружаться с ошибками синего экрана, выполните следующие действия.

1. Перезагрузите компьютер, удерживая нажатой клавишу Shift, выберите «Перезагрузка » на экране входа в систему, чтобы получить доступ к дополнительным параметрам загрузки.
2. Выберите Поиск и > устранение неисправностей Дополнительные параметры > Командная строка.
3. Введите следующую команду и нажмите клавишу Enter: verifier /bootmode resetonbootfail.
4. Сразу же введем следующую команду и нажмите Enter: verifier /reset
5. Тип exit, нажмите клавишу Enter и выберите Продолжить для перезагрузки.

Часто задаваемые вопросы (FAQ)

Вопрос: Где хранятся файлы minidump в Windows?
О: По умолчанию Windows сохраняет файлы минидампа в папку C:\Windows\Minidump\. Имя каждого файла указывается датой его создания (например, 010125-12345-01.dmp). Файлы аварийного дампа приложения хранятся в папке C:\Users\YourUsername\AppData\Local\CrashDumps\.

Вопрос: Что делает !analyze -v в WinDbg?
Ответ: Команда !analyze -v указывает WinDbg выполнить подробный (подробный) анализ файла аварийного дампа. Он автоматически определяет код остановки, неисправный драйвер или модуль, а также стек вызовов, который привел к сбою. Это самая важная команда, выполняемая при анализе файла дампа с синим экраном.

В: Почему мой анализ показывает ntoskrnl.exe в качестве причины?
О: ntoskrnl.exe — это ядро Windows, ядро операционной системы. Если он отображается как неисправный модуль, это обычно означает, что другой драйвер повредил память и ядро обнаружило проблему. Просмотрите полный стек вызовов и другие поля, такие как FAILURE_BUCKET_ID, для получения дополнительных подсказок о реальной причине.

Вопрос: Могу ли я анализировать файлы дампа без WinDbg?
О: Да, есть альтернативные инструменты. Однако они могут предоставлять меньше подробностей, чем WinDbg.

Вопрос: Как исправить ошибки синего экрана, вызванные драйверами?
О: Начните с определения ответственного драйвера с помощью WinDbg или другого инструмента анализа. Затем обновите драйвер до последней версии, которую можно найти на сайте производителя или в разделе Драйверы и загружаемые материалы Dell. Если проблема возникла после обновления драйвера, попробуйте вернуться к предыдущей версии с помощью Диспетчера устройств.

Вопрос: Почему нет файла minidump после синего экрана?
О: Если файл minidump не был создан, возможно, система не настроена на их сохранение. Перейдите в раздел Свойства > системы > Дополнительные > параметры загрузки и восстановления > и убедитесь, что выбран параметр Малый дамп памяти или Автоматический дамп памяти. Также убедитесь, что на системном диске достаточно места.

Вопрос: Сколько файлов minidump хранит Windows?
О: Windows не удаляет старые файлы минидампа автоматически, но в папке обычно хранятся самые последние файлы. Со временем эти файлы накапливаются. Вы можете безопасно удалить старые файлы minidump, если они вам больше не нужны для устранения неполадок.

Нужна дополнительная информация?

Ресурсы Dell

• Руководство по поиску и устранению ошибок «синий экран » — пошаговое руководство по диагностике и устранению ошибок «синий экран» на компьютерах Dell.
• Драйверы и скачиваемые материалы Dell — скачайте последние версии драйверов для вашего компьютера Dell.

Ресурсы Microsoft

• Справочник по коду Microsoft Bug Check (на английском языке) — полный список кодов остановки синего экрана и их описания.
• Microsoft Advanced Troubleshooting for Stop Errors (на английском языке) — руководство Microsoft по расширенному поиску и устранению неисправностей синего экрана.
• Analyze a Kernel-Mode Dump File with WinDbg (на английском языке) — документация Microsoft по анализу файлов дампа.
• Microsoft Driver Verifier (на английском языке) — подробная документация по использованию Driver Verifier.
• Microsoft Process Explorer (на английском языке) — инструмент для определения принадлежности запущенного процесса или файла.

Рекомендуемые статьи

Ниже приведены некоторые рекомендуемые статьи по этой теме, которые могут вас заинтересовать.

• Экспорт журналов событий Windows